EDR מול אנטי־וירוס: מה ההבדל ומה עסק צריך?

אנטי־וירוס ו-EDR לא פותרים בדיוק את אותה בעיה

אנטי־וירוס קלאסי נועד לזהות ולחסום קבצים וקוד זדוניים לפי חתימות, מוניטין ומנועי זיהוי. פתרונות מודרניים עושים הרבה יותר מזה, אבל עדיין המיקוד העיקרי הוא מניעה וזיהוי בנקודת הקצה.

EDR — Endpoint Detection and Response — מוסיף שכבה של תיעוד התנהגות, קשר בין אירועים ויכולת חקירה ותגובה. במקום לשאול רק האם קובץ מסוים זדוני, המערכת בוחנת גם מה התהליך עשה, אילו פקודות הופעלו, לאן הייתה תקשורת ומה השתנה במחשב.

למה זה חשוב לעסק?

אירוע אבטחה מודרני לא תמיד מתחיל בקובץ ברור שאפשר לחסום. לעיתים משתמש מזין סיסמה באתר פישינג, תוקף נכנס לחשבון, כלי לגיטימי מנוצל להרצת פקודות, או תוכנת ניהול מרחוק משמשת באופן לא צפוי. במקרה כזה צריך הקשר ולא רק סריקה.

מה EDR יכול להוסיף?

• ציר זמן של פעילות חשודה בתחנה.
• זיהוי התנהגות חריגה גם כאשר אין חתימה מוכרת.
• קישור בין תהליך, משתמש, קובץ ותקשורת.
• אפשרות לבידוד תחנה או תגובה מהירה בהתאם למוצר ולהגדרות.
• מידע שעוזר להבין האם האירוע היה נקודתי או רחב יותר.

האם EDR מחליף הכול?

לא. EDR הוא חלק ממערך אבטחה. הוא לא מחליף MFA, גיבוי, Firewall, עדכונים, הרשאות נכונות או אבטחת דואר. עסק שמתקין EDR אבל משאיר חשבונות מנהל פתוחים או גיבוי שלא נבדק עדיין נשאר עם סיכונים משמעותיים.

מה לבדוק אצלכם?

בדקו האם כל התחנות והשרתים באמת מנוהלים, האם ההתראות מגיעות למישהו, מי בודק אותן, מה קורה לאחר זיהוי והאם יש תהליך ברור לבידוד וחקירה. מוצר טוב שלא מנוהל יכול להפוך לעוד אייקון ירוק במגש המערכת.

למידע נוסף על אבטחת מידע לעסקים או לתיאום בדיקה ממוקדת.